您的位置:首页>>数码家电

被手机膜拜的指纹识别能确保安全吗?黑客称笑话

发布时间:2015-07-03 15:07:59  来源:互联网    背景:

  最近一段时间,指纹识别又成了手机厂商们的一个噱头,这个号称芯片级的安全技术被标榜为比密码要安全N倍,可以确保安全,事实真的是这样吗?

  可惜指纹技术并不能拯救手机安全。

  物极必反,被厂家与用户过度神化的指纹识别功能也不是尽善尽美:iPhone5s发布后仅一天,欧洲最大的骇客团体 Chaos Computer Club 就宣布破解了TouchID ,并用视频记录了操作过程。

  图1:按压式指纹识别

  而在今年6月的MOSEC移动安全技术峰会上,360手机安全研究员申迪介绍了如何利用安卓手机厂商在实现芯片级安全解决方案TrustZone时造成的软件漏洞,在可信区域执行任意代码,将TrustZone完全攻破。

  而TrustZone正是目前很多带指纹识别的安卓手机确保安全的一个核心技术,一旦被完全攻破,获取指纹识别数据将变得很容易。

  申迪在MOSEC移动安全技术峰会的演示过程中表示,攻破搭载指纹识别系统的手机,最困难的是利用TrustZone中的漏洞,因为这是一个完全的黑盒,缺乏文档和必要的调试手段。据介绍,该次破解是利用内核上的“任意地址写固定值”漏洞,在获取内核代码执行权限后向TEE(可信运行环境)发起进一步攻击,最终绕过TrustZone的防护系统,可获取诸多敏感数据。

  说了这么多,TrustZone到底是什么?

  TrustZone是为保护敏感信息的一种硬件安全架构体系,把手机从硬件与软件上分成安全与普通两个区域。严格意义上讲,指纹识别只是安全区中的一小部分。

  图2:TrustZone的硬件架构

  在TrustZone的硬件架构中,整个系统都是为了保护安全区中的数据,防范设备可能遭受到的多种特定威胁。因此,安全区与普通区从硬件到软件都是被分割的,普通区第三方程序无法访问安全区中的敏感数据。

  体现于手机上的就是,TrustZone会把智能手机的使用模式分为两种,其一是普通使用,其二是安全使用(涉及敏感数据)。例如机主在日常游戏、打字时,手机停留在普通模式;而当机主需要支付、输入密码或者指纹时,手机就会自动切换到安全模式,保护数据不被其它程序访问。

  可惜,看起来很安全的TrustZone并不值得Trust。

  图3:TrustZone漏洞报告

  在2014年8月,几乎所有高通骁龙处理器都被爆出存在TrustZone高危漏洞。黑客可以依靠该漏洞攻破系统的保护机制,并获得用户隐私资料。支付保护技术、数字版权管理、BYOD(自带设备办公)等等都会成为攻击目标,甚至有可能彻底破坏系统的安全机制。也就是说,攻击者不仅能获得安全区中的敏感数据,还能直接进入支付等高权限场景,TrustZone的分区保护形同虚设。

  攻击TrustZone需要获得内核权限,在以往的一些议题中通常以执行内核代码为前提研究TrustZone的。而实际上往往需要组合2~3个0 day漏洞才能完成一次真实有效的TrustZone攻击。

  在今年6月举行的MOSEC移动安全技术峰会上,360安全研究员申迪证明了若组合利用TrustZone相关软件的两个漏洞,任意Android软件应用,都能够进入安全区获取敏感信息。并且申迪先是完成了手机常规OS的内核提权、以及禁用最新版本SE for Android;尔后又利用该漏洞侵入安全区,成功绕过诸多安全特性,获取到指纹等敏感信息。

  面对安全隐患,TrustZone又该何去何从?

  随着手机携带的功能越来越多,手机中私密信息的数量与重要程度也与日俱增。相应的,手机中的数据安全越来越得到重视,因为手机被破解,往往就意味着重要资料丢失、个人信息泄露、支付程序面临巨额损失……但从当前情况来看,手机对数据的保护,仍不能让大众放下心中的顾虑。

  曾经,指纹识别搭配TrustZone,一度被称作手机安全的最后一道防线。

  而如今,残酷的事实告诉我们,这最后一条防线也开始变得并不稳固。

  8月份即将在拉斯维加斯举行的世界黑帽大会BlackHat上,申迪将作为演讲嘉宾向全球黑客介绍有关Android系统TrustZone安全攻防的研究成果,并且现场演示从传感器中读取指纹数据的攻击利用。

特别提醒:本网内容转载自其他媒体,目的在于传递更多信息,并不代表本网赞同其观点。其原创性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺,并请自行核实相关内容。本站不承担此类作品侵权行为的直接责任及连带责任。如若本网有任何内容侵犯您的权益,请及时联系我们,本站将会在24小时内处理完毕。


返回网站首页 本文来源:互联网

本文评论
友情提示:评论功能暂时关闭,请扫描上方二维码进群交流!
什么样的平板更能让办公人士倾心?
  (原标题:小巧身材兼顾强大功能,高端办公人士的明智之选)
日期:08-20
让TA为您守住智慧家庭的安防底线
门外世界,门内是家。一道门是家与外界的分界线,而一把安全的门锁,则是家居安防不可触达的底线。...
日期:08-20
10nm十代酷睿处理器降临 新一代笔记本体验大有不同
2019年5月底的台北电脑展上,Intel正式宣布了十代酷睿处理器,也就是10nm工艺的Ice Lake处理器,使...
日期:08-20
Redmi红米电视首露真容:70英寸极窄边、超高屏占比
面对荣耀智慧屏,Redmi红米电视凶猛来袭。
  昨日,Redmi品牌总经理卢伟冰在微博上正式宣布...
日期:08-20
你想要的高端厨电来了!德系高端厨电品牌CASO卡梭进入中国
根据《2019年中国家电行业一季度报告》显示,高端家电产品零售额占比较以往稳步增长,各品类家电高...
日期:08-20
选择难题?iPad还是MacBook
  (原标题:搞机零距离:iPad还是MacBook?这是个问题)
日期:08-20
索尼ZX300A高解析播放器 Walkman产品经典之选
索尼NW系列播放器的经典设计一直都很经典且受到用户欢迎,线条简洁而且造型十分圆润。索尼ZX300A高...
日期:08-20
JBL/UA FLASH ROCK真无线耳机巨石强森特别版全新上市
2019年8月, JBL联合知名运动品牌Under Armour 推出新款 JBL/UA TRUE WIRELESS FLASH ROCK真无线运...
日期:08-20
谢谢你的支持!联想用超级购物节回馈用户 赢免单送好礼!
“粉丝经济”的年代,每一位粉丝都拥有着巨大能量。文能花式彩虹屁,武能“长枪短炮...
日期:08-19
海信发布首款社交电视 聚好看助力打破社交“次元壁”
球进了却没人跟自己一起庆祝、想和朋友K歌可人总是凑不齐;聚会的时候客厅里的人各玩各的手机、每天...
日期:08-19
充电宝也需跟上手机5G时代步伐,充电宝哪个牌子好?
近日中国联通发表微博,表示近期将有数款5G手机即将上线。华为Mate20X(5G)将于8月16日开售,同样8月上...
日期:08-19
美的果净冰箱持续火热预售 全球首款除农残冰箱打造家庭有机农场
8月18日,美的全球首款除农残冰箱发布长沙站在长沙通程商业广场举行。携手核心合作伙伴通程电器,美的...
日期:08-19
详解B-SX4T条码打印机  总有一点你不知道!
  (原标题:更多了解B-SX4T条码打印机,请进吧!)

日期:08-19
小米有品上架12L车载冰箱:车家两用 最低制冷-18℃
8月19日消息,小米有品上架了一款英得尔车载冰箱12L,车家两用,最低制冷-18℃,售价1980元。
日期:08-19
小米官宣新朋友 古力娜扎成为“小米CC手机大使”
8月19日上午消息,刚刚小米通过微博宣布,演员古力娜扎成为“小米CC手机大使”。
日期:08-19
三星:Tab S6是首款支持HDR 10+的平板电脑
8月19日消息 上月底,三星正式发布了旗舰平板电脑Galaxy Tab S6,搭载了骁龙855旗舰处理器,支持屏...
日期:08-19
解析吸尘器市场:解决用户痛点 才能抢占先机
  (原标题:深扒吸尘器市场:缺少行业规范 洗牌已不可避免)
日期:08-19
洗碗机真的实用吗?看过你就知道了!
  (原标题:详解洗碗机到底实不实用 看这篇就够了)
日期:08-19
业界动态:龙吟东方,欢聚长安丨OPPO大话西游龙族主题门店落户西安
8月3日,OPPO携手国风经典IP《大话西游》手游版,在OPPO西安北大街金钟大厦店成功举办「OPPO大话龙族...
日期:08-18
索尼颈挂式降噪耳机二代WI-1000XM2曝光
8月18日消息 据热心网友投稿,索尼颈挂式无线降噪耳机二代WI-1000XM2曝光。
日期:08-18
  专栏介绍
即时新闻 的专栏
即时新闻发表的文章
积分:
自我介绍 :